Kafka KRAFT模式配置SASL_PLAINTEXT启动报错求助

这个报错的核心原因是：Kafka启动时既没找到指定的JAAS配置文件，也没在配置文件里找到KRAFT模式必需的KafkaServer和controller.KafkaServer认证条目。按以下步骤排查修复：

1. 修正JAAS配置文件内容 #

你的sasl_server.properties（建议改名为kafka_jaas.conf更直观）必须同时包含KafkaServer和controller.KafkaServer两个条目——因为KRAFT模式下broker和controller可能运行在同一进程中。示例配置如下：

KafkaServer {
    org.apache.kafka.common.security.plain.PlainLoginModule required
    username="inter-broker-user"  # broker之间通信的认证账号
    password="inter-broker-secret"  # 对应密码
    user_admin="admin123"  # 定义客户端管理员账号admin，密码admin123
    user_dev="dev456";  # 定义普通客户端账号dev，密码dev456
};

controller.KafkaServer {
    org.apache.kafka.common.security.plain.PlainLoginModule required
    username="inter-broker-user"
    password="inter-broker-secret"
    user_admin="admin123"
    user_dev="dev456";
};

注意：两个条目的内容要保持一致，避免broker和controller通信时认证失败。

2. 启动时指定JAAS配置文件路径 #

必须通过JVM参数告诉Kafka加载你的JAAS配置文件，有两种常用方式：

• 方式一：启动命令直接添加参数
  把JVM参数放在启动脚本和server.properties之前：

  bin/kafka-server-start.sh -Djava.security.auth.login.config=/绝对路径/config/kraft/sasl_server.properties config/kraft/server.properties
  

  一定要用绝对路径，防止相对路径导致文件找不到。
• 方式二：修改启动脚本永久配置
  编辑bin/kafka-server-start.sh，找到KAFKA_HEAP_OPTS的定义行，添加JAAS参数：

  export KAFKA_HEAP_OPTS="-Xmx1G -Xms1G -Djava.security.auth.login.config=/绝对路径/config/kraft/sasl_server.properties"
  

  这样每次启动都会自动加载配置，不用重复输入参数。

3. 检查server.properties的SASL相关配置 #

确保以下配置项已正确设置：

• listeners=SASL_PLAINTEXT://localhost:9092（如果需要兼容无认证可追加PLAINTEXT://localhost:9093）
• advertised.listeners=SASL_PLAINTEXT://localhost:9092
• security.inter.broker.protocol=SASL_PLAINTEXT
• sasl.enabled.mechanisms=PLAIN
• sasl.mechanism.inter.broker.protocol=PLAIN
• authorizer.class.name=kafka.security.authorizer.AclAuthorizer（开启ACL权限控制）
• allow.everyone.if.no.acl.found=false（可选，关闭默认允许所有用户的宽松模式）

4. 验证配置生效 #

启动Kafka后，用客户端测试认证和ACL：

1. 编写客户端配置文件client.properties：

   security.protocol=SASL_PLAINTEXT
   sasl.mechanism=PLAIN
   sasl.jaas.config=org.apache.kafka.common.security.plain.PlainLoginModule required username="admin" password="admin123";
   

2. 创建测试主题并添加ACL：

   bin/kafka-topics.sh --bootstrap-server localhost:9092 --command-config client.properties --create --topic test-acl-topic
   bin/kafka-acls.sh --bootstrap-server localhost:9092 --command-config client.properties --add --allow-principal User:dev --operation Read,Write --topic test-acl-topic
   

3. 用dev账号测试生产消费：
   修改client.properties里的username和password为dev的信息，然后运行生产消费命令验证权限。

内容的提问来源于stack exchange，提问作者Firecow